Забавная история произошла давеча в Верховном суде:
“Верховный суд РФ не поддержал позицию Роскомнадзора, который требовал признать неправомерной обработку персональных данных страховой компанией на своем интернет-сайте. Претензии чиновников, в частности, вызвала размещенная на сайте форма «Заявка на оформление полиса», которая включает «Форму обращения» и запрашивает данные «e-mail» и «телефон».
…
Верховный суд РФ посчитал, что действия Роскомнадзора, пытавшегося наказать страховщиков, не только не соответствуют требованиям действующего законодательства, но и нарушают права и законные интересы общества в сфере предпринимательской и иной экономической деятельности.”
Чего же в ней забавного, спросите вы. А вот чего.
Как известно, “персональные данные – это данные, по которым можно идентифицировать человека”. Все это знают же, да? Забудьте пожалуйста. Это утверждение не имеет подтверждения в тексте закона о ПДн, и уже давно. Проще говоря, представляет собой херню.
Давайте посмотрим на определение ПДН в законе:
“1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);”
Обратите внимание: тут фигурирует не только “определенное”, но и “определяемое” лицо, проще говоря, такое лицо, для которого процесс “определения” еще не завершился и которое мы еще не “определили”. Кроме того, информация может относиться к “лицу” не только прямо, но и косвенно, что расширяет ее круг до немыслимых размеров. Например, размер обуви человека – это тоже его “персональные данные”, хотя личность по нему определить нельзя.
А откуда же взялось это странное представление о персданных, подтверждения которому в законе мы не находим? Ну разумеется, из закона о ПДн. В его изначальной редакции:
“1) персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;”
Как вы видите, здесь само понятие “персональных данных” привязано к тому, можно ли определить лицо “на основании такой информации”: если нельзя, то это не ПДн.
Между тем, наш главный цензурный орган до сих пор упорно и последовательно применяет это недействующее определение. В первую очередь это нужно для манипуляций нашим дышлом закона: когда данные “утекают” у нужных людей – по ним резко становится “невозможно определить личность” и они становятся “не персональными”. А когда надо – РКН даже куки браузера считает “персональными данными”.
Но вот, при рассмотрении одного такого дела, когда РКН захотел привлечь компанию в том числе за форму сбора данных на сайте, суд ему и говорит:
“Так, форма «Заявка на оформление полиса» не содержит полей, предусматривающих указание данных, позволяющих определить (идентифицировать) конкретное физическое лицо, поскольку запрашивает только «Форму обращения», «Email», «Телефон».
Совокупность данных, получаемых Обществом посредством формы «Заявка на оформление полиса» не обеспечивает возможности доподлинно определить конкретное физическое лицо, которому принадлежит номер телефона и/или адрес электронной почты, поскольку форма не подразумевает предоставления полных «Фамилии Имени Отчества» и/или иных идентификаторов, таких как «Номер документа удостоверяющего личность», «ИНН», «СНИЛС», «Дата и место рождения», в особенности принимая во внимание тот факт, что в форме могут быть указаны номер телефона и адрес электронной почты, принадлежащие юридическому лицу или иному физическому лицу, не являющемуся заполнителем формы.”
Это из решения первой инстанции, оставленного без изменений апелляцией и кассацией, и теперь вот дошедшего до ВС. В общем, выяснилось, что в эту игру можно играть вдвоем и РКН получил обратно свою выдумку. Потому что, если достаточно долго нести в массы херню, массы в нее таки поверят. Включая судей Верховного суда…
